VPN DNS filtrs: vārdu bloķēšana nebloķē reklāmas

Viena dnsmasq rinda var atbildēt uz vārdu ar NXDOMAIN, un tas ir viss mehānisms. Tas nekad nelasa HTML, nepārbauda pieprasījuma ceļu un neredz, ko lietojumprogramma dara ar jau atvērtu savienojumu. Tāpēc tā salīdzināšana ar pārlūkprogrammas paplašinājumu ir divu dažādu darbu salīdzināšana. Viens izlemj, vai vārds tiek atrisināts; otrs izlemj, kas notiek pēc tam.

Ko vārdu filtrs patiešām kontrolē

Opcija address=/metrics.example/, bez nekā aiz pēdējās slīpsvītras, liek atrisinātājam atgriezt NXDOMAIN šim vārdam un tā apakšdomēniem. Adreses atstāšana tukšu ir svarīgā daļa: tā neļauj sūtīt klientus uz nesaistītu aizstājējserveri vai pasniegt atgriezeniskās saites adresi kā īsto galamērķi. dnsmasq rokasgrāmata apraksta šo formu kā negatīvu atbildi, nevis pāradresāciju.

Viss, ko noteikums var darīt, izriet no šī viena lēmuma. Klients, kas jautā šim atrisinātājam, saņem negatīvu atbildi; klients, kas jautā citam atrisinātājam, saņem to, ko saka tas atrisinātājs. Filtrs neko nezina par ceļu, vaicājuma virkni vai kontu, ko lietojumprogramma būtu izmantojusi.

Šī detalizācija ir svarīga, jo viens resursdatora vārds bieži kalpo vairākiem mērķiem. Pieslēgšanās punkti, attēli un izsekošana var dalīt domēnu, un noteikums, kas noņem visu vārdu, var noņemt arī darbplūsmu. Vārda līmeņa politikai ir jāpieņem šis kompromiss vai jāizvēlas šaurāki vārdi.

Kā atšķiras klienta puses bloķētājs

Pārlūkprogrammas paplašinājums redz pieprasījumu pirms tas aiziet, tāpēc tas var saskaņot URL ceļu, atcelt konkrētu pieprasījumu un paslēpt elementu, kas būtu parādījis rezultātu. Tas var atļaut example.com/article, vienlaikus noraidot example.com/ads/, ko nevar izteikt neviena DNS atbilde. Šis ceļa līmeņa skats ir tā spēja, kuras atrisinātājam vienkārši nav. Tāpēc vienam rīkam veidots filtru saraksts citā reti uzvedas tāpat.

Cena ir tvērums. Šī aizsardzība dzīvo vienā pārlūkprogrammā, vienā profilā, vienā ierīcē, un tā pazūd, kad lietotājs pāriet uz citu lietojumprogrammu. DNS filtrs, kas konfigurēts uz vārtejas, aptver katru ierīci, kas izmanto vārtejas atrisinātāju, tostarp ierīces, kurās nevar instalēt nevienu paplašinājumu.

Neviens no abiem risinājumiem nav pilnīgs pats par sevi. DNS filtrs nevar noņemt identifikatoru, ko lapa jau nosūtījusi, un pārlūkprogrammas paplašinājums nevar aizsargāt lietojumprogrammu, kas to nekad neielādē.

Atrisinātāja ceļš izlemj, vai kaut kas no tā attiecas

VPN var paziņot DNS serveri un tomēr nesaņemt katru vaicājumu. Pārlūkprogramma ar konfigurētu šifrētu DNS, lietojumprogramma ar savu atrisinātāju vai ierīce tīkla ceļā, kas apej vārteju, visi skatīsies citur. Mobilās platformas arvien biežāk piedāvā privāta DNS iestatījumu, kas klusi pārraksta to, ko iesaka tunelis.

Tāpēc pārbaudiet ceļu, nevis politiku. Vaicājiet paredzēto atrisinātāju tieši no vārtejas, pēc tam vaicājiet to no klienta un salīdziniet, un pēc tam vērojiet, vai vārds, kuram jābūt bloķētam, patiešām neizdodas lietojumprogrammā, ko lietotājs palaiž.

Kešatmiņā saglabātās atbildes un atvērti ligzdas padara to trokšņainu. Lapa, kas jau ielādējusi savus resursus, turpinās darboties pēc noteikuma maiņas, tāpēc jauns savienojums ir labāks tests nekā vecas cilnes atkārtota ielāde.

Pārbaudiet abus virzienus, pirms paziņojat rezultātu

Izmantojiet tīši bloķētu dokumentācijas vārdu, atļautu publisku vārdu un privātu vārdu, kas pakalpojumam nepieciešams:

$ dig +short metrics.example @10.40.0.53
$ dig +short example.com @10.40.0.53
$ dig +short intranet.corp.internal @10.40.0.53

Tukša atbilde uz bloķēto vārdu, normāla adrese publiskajam un privāta adrese iekšējam kopā parāda, ka filtrēšana, atrisināšana augšup un vietējie ieraksti visi darbojas. Ja visi trīs neizdodas, jūs redzat problēmu augšup vai klausītājā, nevis filtrā.

Turiet apgalvojumu šauru visā, ko publicējat iekšēji. Šī ir domēnu filtrēšana atrisinātājā, ne satura pārbaude, ne ceļu filtrēšana un ne solījums, ka neviens netiek izsekots. Norādiet politikas īpašnieku, izņēmuma maršrutu un vaicājumu glabāšanas laiku līdzās noteikumiem, jo filtram, kas reģistrē katru meklēšanu, ir savas privātuma izmaksas.